Η OpenAI κυκλοφορεί το Codex Security για τον εντοπισμό ευπαθειών στον κώδικα

Η OpenAI κυκλοφόρησε το Codex Security στις 6 Μαρτίου. Πρόκειται για έναν πράκτορα ασφάλειας εφαρμογών με τεχνητή νοημοσύνη, ο οποίος σαρώνει βάσεις κώδικα για ευπάθειες, επαληθεύει τα ευρήματα σε απομονωμένα περιβάλλοντα και προτείνει διορθώσεις. Το εργαλείο έχει ήδη εντοπίσει αδυναμίες στο OpenSSH, στο Chromium και σε πέντε ακόμη ευρέως χρησιμοποιούμενα έργα ανοικτού κώδικα. Στις ανακαλύψεις αποδόθηκαν 14 αναγνωριστικά CVE (Common Vulnerabilities and Exposures).

Το Codex Security, παλαιότερα γνωστό ως Aardvark, παρέμεινε περίπου έναν χρόνο σε κλειστή δοκιμαστική φάση beta πριν γίνει διαθέσιμο ως ερευνητική έκδοση προεπισκόπησης για πελάτες των ChatGPT Pro, Enterprise, Business και Edu. Η OpenAI προσφέρει δωρεάν πρόσβαση για τον πρώτο μήνα.

Ο πράκτορας διαφέρει από τα συμβατικά εργαλεία στατικής ανάλυσης επειδή δημιουργεί μοντέλο απειλών ειδικά για κάθε έργο πριν από τη σάρωση. Αναλύει την αρχιτεκτονική του αποθετηρίου για να κατανοήσει τι κάνει το σύστημα, τι εμπιστεύεται και πού είναι περισσότερο εκτεθειμένο. Οι ομάδες μπορούν να τροποποιούν το μοντέλο απειλών ώστε τα ευρήματα να συμβαδίζουν με την προσέγγισή τους ως προς τον κίνδυνο. Όταν διαμορφωθεί ένα προσαρμοσμένο περιβάλλον, το Codex Security δοκιμάζει πιθανές ευπάθειες απευθείας στο σύστημα που λειτουργεί, δημιουργώντας κώδικα εκμετάλλευσης για την επίδειξη της ευπάθειας (proof of concept) για να επιβεβαιώσει τον πραγματικό αντίκτυπο.

Επιδόσεις σε μεγάλη κλίμακα

Τις τελευταίες 30 ημέρες της δοκιμής beta, το Codex Security σάρωσε περισσότερα από 1,2 εκατομμύρια commits σε εξωτερικά αποθετήρια, εντοπίζοντας 792 κρίσιμα ευρήματα και 10.561 ζητήματα υψηλής σοβαρότητας. Κρίσιμες ευπάθειες εμφανίστηκαν σε λιγότερο από το 0,1% των commits που σαρώθηκαν. Αυτό υποδηλώνει ότι το σύστημα μπορεί να επεξεργάζεται μεγάλες βάσεις κώδικα, διατηρώντας τον θόρυβο σε επίπεδο διαχειρίσιμο για όσους ελέγχουν τα αποτελέσματα.

Η OpenAI αναφέρει ότι η ακρίβεια βελτιώθηκε σημαντικά κατά τη φάση beta. Σε μία περίπτωση, ο θόρυβος μειώθηκε κατά 84% μεταξύ της αρχικής διάθεσης και της τρέχουσας έκδοσης. Στο σύνολο των αποθετηρίων, το ποσοστό ψευδώς θετικών αποτελεσμάτων μειώθηκε πάνω από 50%, ενώ τα ευρήματα των οποίων η σοβαρότητα είχε υπερεκτιμηθεί μειώθηκαν πάνω από 90%. Ο πράκτορας αξιοποιεί επίσης την ανατροφοδότηση: όταν οι χρήστες αλλάζουν τον βαθμό κρισιμότητας ενός ευρήματος, προσαρμόζει το μοντέλο απειλών για τις επόμενες σαρώσεις.

Αυτά τα στοιχεία απαντούν σε ένα επίμονο παράπονο των ομάδων ασφάλειας που αξιολογούν εργαλεία προγραμματισμού με AI. Ανάλυση του 2025, που εξέτασε 80 εργασίες προγραμματισμού με περισσότερα από 100 μεγάλα γλωσσικά μοντέλα, διαπίστωσε ότι ο κώδικας που παράγεται από AI εισάγει ευπάθειες ασφάλειας στο 45% των περιπτώσεων, γεγονός που αυξάνει τη σημασία των εργαλείων εντοπισμού σε επόμενα στάδια της ανάπτυξης, καθώς ο κώδικας που γράφεται από AI εξαπλώνεται.

Ευπάθειες που ανακαλύφθηκαν σε έργα ανοικτού κώδικα

Η OpenAI χρησιμοποιεί το Codex Security σε αποθετήρια ανοικτού κώδικα από τα οποία εξαρτάται, αναφέροντας ευρήματα με μεγάλο αντίκτυπο στους συντηρητές των έργων. Ο δημοσιευμένος κατάλογος περιλαμβάνει OpenSSH, GnuTLS, GOGS, Thorium, libssh, PHP και Chromium. Δύο από τις 14 ευπάθειες στις οποίες αποδόθηκαν αναγνωριστικά CVE είχαν αναφερθεί και από άλλους ερευνητές.

Σύμφωνα με την OpenAI, οι συζητήσεις με τους συντηρητές έδειξαν ότι η κύρια δυσκολία δεν ήταν η έλλειψη αναφορών για ευπάθειες αλλά η υπερβολική ποσότητα αναφορών χαμηλής ποιότητας. Οι συντηρητές χρειάζονταν λιγότερα ψευδώς θετικά αποτελέσματα και μικρότερο φόρτο για την αξιολόγηση και την ιεράρχηση των αναφορών. Αυτά τα σχόλια συνέβαλαν στην έμφαση του Codex Security στα ευρήματα υψηλής βεβαιότητας αντί στον όγκο τους.

Η εταιρεία ανακοίνωσε επίσης το Codex for OSS, πρόγραμμα που προσφέρει στους συντηρητές έργων ανοικτού κώδικα δωρεάν λογαριασμούς ChatGPT Pro και Plus, υποστήριξη για τον έλεγχο κώδικα και πρόσβαση στο Codex Security. Το έργο vLLM έχει ήδη χρησιμοποιήσει το εργαλείο για να εντοπίσει και να διορθώσει ζητήματα μέσα στη συνήθη ροή εργασίας του. Η OpenAI σχεδιάζει να επεκτείνει το πρόγραμμα τις επόμενες εβδομάδες.

Η κυκλοφορία φέρνει την OpenAI σε άμεση συμμετοχή στην αγορά ασφάλειας εφαρμογών, όπου εταιρείες όπως οι Snyk, Semgrep και Veracode έχουν ήδη εδραιωθεί. Η Google (GOOGL ) δημοσίευσε πρόσφατα μια λεπτομερή αρχιτεκτονική ασφάλειας για τις δικές της λειτουργίες πρακτόρων AI στο Chrome, δείχνοντας ότι η σύγκλιση πρακτόρων AI και εργαλείων ασφάλειας προσελκύει ενδιαφέρον από πολλές πλευρές.

Αρκετά ερωτήματα παραμένουν αναπάντητα. Η OpenAI δεν έχει ανακοινώσει τιμές μετά τη δωρεάν δοκιμαστική περίοδο ούτε έχει διευκρινίσει ποιο από τα πιο προηγμένα μοντέλα υποστηρίζει τη συλλογιστική του Codex Security. Το εργαλείο λειτουργεί προς το παρόν μέσω της διαδικτυακής έκδοσης του Codex και δεν προσφέρει ενσωμάτωση σε επίπεδο API. Αυτό ενδέχεται να περιορίζει την υιοθέτησή του από ομάδες που διαθέτουν ήδη αυτοματοποιημένες ροές εργασίας ασφάλειας. Το αν το Codex Security μπορεί να διατηρήσει τις βελτιώσεις ακρίβειας όταν επεκταθεί πέρα από τη φάση beta και το αν οι συντηρητές έργων ανοικτού κώδικα υιοθετήσουν το πρόγραμμα σε ουσιαστική κλίμακα θα καθορίσουν αν ο πράκτορας θα γίνει μόνιμο στοιχείο του συνόλου εργαλείων ανάπτυξης με υποστήριξη AI ή θα παραμείνει ερευνητική έκδοση προεπισκόπησης.